GitBook menyatakan dalam tinjauan insiden pada 2 November bahwa para penyerang berhasil mengakses lingkungan produksinya selama sekitar 3 jam 25 menit. Menurut Odaily, Chief Information Security Officer SlowMist, 23pds, mengidentifikasi Trade.xyz sebagai target. Para penyerang mengeksploitasi celah dalam proses single sign-on untuk memalsukan sesi karyawan, menggunakan kredensial GitHub App yang salah konfigurasi untuk mengakses repositori kode internal, dan memperoleh kunci API Cloudflare. GitBook menonaktifkan akun layanan yang terdampak dalam hitungan jam, membuat platform offline selama sekitar 16 jam, lalu memulihkannya sepenuhnya pada 3 November pukul 11.56 UTC.

GitBook merotasi kunci infrastruktur dan kunci pelanggan yang dihosting, serta membatalkan token API. Karena penyerang mungkin telah mengakses data pelanggan, perusahaan menganggap semua data pelanggan berpotensi terekspos, termasuk token API, kunci integrasi, kunci penandatanganan sesi, catatan Tanya Jawab asisten, dan izin untuk aplikasi GitHub dan GitLab yang diotorisasi. Informasi penagihan, kata sandi, dan alamat IP tidak terdampak. GitBook menyatakan bahwa bukti yang tersedia menunjukkan serangan tersebut berfokus pada satu pelanggan, tidak ditemukan konten pelanggan lain yang diubah, dan para penyerang sangat mengandalkan otomatisasi dan AI.